Google は2026年10月21日、Chrome が、暗号 化されていないHTTPのサイトにつなぐ前に、利用者に許可を求めるようにしたと公表しました。設定の「常に安全な接続を使用する(Always Use Secure Connections)」を、すべての利用者の既定で有効にしたものです。インターネットのほとんどの通信はHTTPSになっていますが、社内にはHTTPのままの業務システムや、機器の管理画面が残っていることがあります。社員から「警告が出た」という問い合わせが来る前に、どこで警告が出るかを確かめておきます。
何が変わったか
Googleは昨年、この変更を予告していました。今年はじめに、セーフブラウジングの保護強化モードの利用者に入れ、今回、すべての利用者の既定に広げました。
Chromeの警告の画面(Googleのブログの画像の一部・英語) 出典: Google「Chrome Now Warns Before Insecure HTTP Connections」 (報道用の素材) これまでChromeは、HTTPのサイトのアドレスの横に「保護されていない通信」と表示するだけでした。Googleは、この表示には次の限りがあったとしています。
利用者が気づかないことがある
転送(リダイレクト)のような短いHTTPの通信では、表示を出す前に終わってしまう
表示が出るのは、データがすでに送られた後で、送る前に止められない
今回の変更で、Chromeは、HTTPでつなぐ前に警告の画面を出し、利用者が「サイトへ進む」か「戻る」かを選べるようにしました。
どこで警告が出るか
警告の出方の説明。許可は2週間有効、1語のホスト名やローカルのIPには出ない(英語) 出典: Google「Chrome Now Warns Before Insecure HTTP Connections」 (引用) Googleの説明では、警告の出方は次のとおりです。
初めて行くHTTPのサイトで、警告が出る
一度許可すると、そのサイトに2週間以上行かなくなるまで、再び警告しない
公的に信頼される証明書 を取れないサイトには、既定では警告しない。例えば「intranet/」のような1語のホスト名や、家庭のWi-Fi のルーターの設定で使う「192.168.0.1」のようなローカルのIPアドレス
Googleによると、試しに広げた段階のデータでは、デスクトップのChromeの利用者のおよそ95%が、1週間に1回もHTTPの警告を見ていません。3回以上見たのは1%未満でした。スマートフォンではさらに少ないとしています。
会社の環境で気をつけたいのは、会社のドメインの名前でHTTPのまま動かしている社内のサイトです。例えば「http://kintai.example.co.jp」のような名前は、公的な証明書を取れる名前のため、警告の対象になると考えられます。古い業務システム、複合機やネットワーク機器の管理画面、社内のWikiなどが当たりやすいところです(当社の見立て)。
管理者が使えるポリシー
Chromeを会社で管理している場合は、次のポリシーで扱いを決められます(Chromiumのポリシーの定義による)。
ポリシー
できること
HttpAllowlist
指定したホスト名やパターン(例えば[.]example.com)を、HTTPSへの切り替えと警告の対象から外す。すべてを外す「 」は使えない。HSTSには効かない
HttpsOnlyMode
「常に安全な接続を使用する」の扱いを決める。allowed(利用者に任せる)、disallowed(使えなくする)、force_enabled(厳格のモードで有効)、force_balanced_enabled(バランスのモードで有効)。有効にした後も、利用者は設定を変えられる
HttpsUpgradesEnabled
HTTPのつなぎ方を、できるときにHTTPSに自動で切り替える機能を止める
HttpAllowlistは、HTTPSに対応していないサーバーにつなぎ続けるために、機能を止めずに使える例外の一覧です。HttpsOnlyModeを「disallowed」にすると警告は出なくなりますが、社外の危ないHTTPのサイトへの守りも失います。
影響する会社・しない会社
影響する: 会社のドメインの名前でHTTPのまま動かしている社内の業務システムや、機器の管理画面がある会社です。社員に警告が出て、問い合わせが増えるかもしれません。
影響する: 取引先の古いサイトや、HTTPのまま公開している自社のサイトがある会社です。訪問者に警告が出ます。
影響しない(少ない): 社内のサイトをすでにHTTPSにしている会社です。1語のホスト名やローカルのIPアドレスで使っている機器も、既定では警告が出ません。
Chromeの同じ時期の守りの強化には、詐欺のサイトの警告を2段階に分ける変更もあります(Google、Chromeの詐欺対策を強化 警告を2段階に分けコマンドも検査 )。
情シスが今日やること
HTTPのままの社内のサイトを洗い出す。 業務システム、社内のWiki、複合機・ネットワーク機器・NASの管理画面、プロキシの設定のファイル(PAC)の置き場所などで、「http://」で始まり、会社のドメインの名前を使っているものを一覧にします。プロキシやDNSの記録から探すと早いです(当社の見立て)。ヘルプデスクに知らせる。 「このサイトは安全な接続に対応していません」という警告が出たときの答え方を決めます。社内のサイトかどうか、どのサイトなら進んでよいかを、一覧で示します。例外の一覧はつなぎにする。 すぐにHTTPSにできない社内のサイトは、HttpAllowlistにホスト名を入れて、警告を出さないようにします。入れたサイトは、HTTPSへの移行の期限とともに台帳に残します。HTTPSに移す。 社内の認証局の証明書を配るか、公開の名前ならLet's Encryptなどの証明書を使い、HTTPSに切り替えます。切り替えた後は、HttpAllowlistから外します。警告に慣れさせない。 社員に「警告は読まずに進めばよい」と伝えないようにします。社外のサイトで同じ警告が出たときは、進まずに戻るよう呼びかけます(当社の見立て)。 
